Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
# Panoramica della console dei pool di identità
I pool di identità di Amazon Cognito forniscono AWS credenziali temporanee per gli utenti ospiti (non autenticati) e per gli utenti che sono stati autenticati e hanno ricevuto un token. Un pool di identità è un archivio di identificatori utente collegati ai tuoi provider di identità esterni.
Un modo per comprendere le caratteristiche e le opzioni dei pool di identità consiste nel crearne uno nella console Amazon Cognito. Puoi esplorare l'effetto di diverse impostazioni sui flussi di autenticazione, sul controllo degli accessi basato su ruoli e attributi e sull'accesso degli ospiti. Da qui, puoi passare ai capitoli successivi di questa guida e aggiungere i componenti appropriati all'applicazione in modo da poter implementare l'autenticazione del pool di identità.
**Topics**
+ [Crea un pool di identità di](#identity-pools-create)
+ [Ruoli IAM dell'utente](#user-iam-roles)
+ [Identità autenticate e non autenticate](#authenticated-and-unauthenticated-identities)
+ [Attivazione o disattivazione dell'accesso guest](#enable-or-disable-unauthenticated-identities)
+ [Modifica del ruolo associato a un tipo di identità](#change-the-role-associated-with-an-identity-type)
+ [Modifica dei provider di identità](#enable-or-edit-authentication-providers)
+ [Eliminazione di un pool di identità](#delete-an-identity-pool)
+ [Eliminazione di un'identità da un pool di identità](#delete-an-identity-from-an-identity-pool)
## Crea un pool di identità di
**Per creare un nuovo pool di identità nella console**
1. Accedi alla [console di Amazon Cognito](https://console.aws.amazon.com/cognito/home) e seleziona **Pool di identità**.
1. Scegli **Crea pool di identità**.
1. In **Configurazione dell'attendibilità del pool di identità**, scegli di configurare il pool di identità per **Accesso autenticato**, **Accesso guest** o entrambi.
1. Se hai scelto **Accesso autenticato**, seleziona uno o più **Tipi di identità** che desideri impostare come origine delle identità autenticate nel pool di identità. Se configuri un **Provider degli sviluppatori personalizzato**, non puoi modificarlo né eliminarlo dopo aver creato il pool di identità.
1. In **Configura le autorizzazioni**, scegli un ruolo IAM predefinito per gli utenti autenticati o guest nel pool di identità.
1. Scegli **Crea un nuovo ruolo IAM** se desideri che Amazon Cognito crei automaticamente un nuovo ruolo con autorizzazioni di base e una relazione di affidabilità con il pool di identità. Inserisci un **Nome ruolo IAM** per identificare il nuovo ruolo, ad esempio `myidentitypool_authenticatedrole`. Seleziona **Visualizza documento di policy** per esaminare le autorizzazioni che Amazon Cognito assegna al tuo nuovo ruolo IAM.
1. Puoi scegliere di **utilizzare un ruolo IAM esistente** se hai già un ruolo Account AWS che desideri utilizzare. Devi configurare la policy di attendibilità del ruolo IAM per includere `cognito-identity.amazonaws.com`. Configura la policy di attendibilità del ruolo per consentire ad Amazon Cognito di assumere il ruolo solo quando rende evidente che la richiesta ha avuto origine da un utente autenticato nel pool di identità specifico. Per ulteriori informazioni, consulta [Attendibilità del ruolo e autorizzazioni](iam-roles.md#role-trust-and-permissions).
1. In **Connect identity providers**, inserisci i dettagli dei provider di identità (IdPs) che hai scelto in **Configure identity pool trust**. È possibile che ti venga chiesto di fornire informazioni sul client dell'app OAuth, scegliere un pool di utenti Amazon Cognito, scegliere un IdP IAM o inserire un identificatore personalizzato per un provider degli sviluppatori.
1. Scegli le **impostazioni del ruolo** per ogni IdP. Puoi assegnare agli utenti di tale IdP il **ruolo predefinito** impostato quando hai configurato il **ruolo autenticato** oppure puoi selezionare l'opzione **Scegli ruolo con regole**. Con un IdP del pool di utenti Amazon Cognito, puoi anche **scegliere un ruolo con preferred\_role nei token**. Per ulteriori informazioni sulla richiesta `cognito:preferred_role`, consultare [Assegnazione dei valori di priorità ai gruppi](cognito-user-pools-user-groups.md#assigning-precedence-values-to-groups).
1. Se hai scelto **Scegli ruolo con regole**, inserisci la **dichiarazione** di origine ricavata dall'autenticazione dell'utente, l'**operatore** con cui vuoi confrontare l'attestazione, il **valore** che determina una corrispondenza con questa scelta di ruolo e il **ruolo** che desideri assegnare quando l'**assegnazione del ruolo** corrisponde. Seleziona **Aggiungi un altro** per creare una regola aggiuntiva basata su una condizione diversa.
1. Scegli una **Risoluzione del ruolo**. Quando le richieste dell'utente non corrispondono alle regole, puoi negare le credenziali o emettere credenziali per il **Ruolo autenticato**.
1. Configura **Attributi per il controllo degli accessi** per ciascun IdP. L'opzione Attributi per il controllo degli accessi associa le richieste dell'utente ai [tag principali](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_iam-tags.html) applicati da Amazon Cognito alla relativa sessione temporanea. Puoi creare policy IAM per filtrare l'accesso utente in base ai tag applicati alla relativa sessione.
1. Per non applicare alcun tag principale, scegli **Inattivo**.
1. Per applicare i tag principali in base alle richieste `sub` e `aud`, scegli **Utilizza mappature predefinite**.
1. Per creare un tuo schema personalizzato di attributi dei tag principali, scegli **Utilizza mappature personalizzate**. Quindi, inserisci una **Chiave tag** che deve essere originata da ciascuna **Richiesta** che desideri rappresentare in un tag.
1. In **Configura proprietà**, inserisci un **Nome** in **Nome del pool di identità**.
1. In **Autenticazione di base (classica)**, scegli **Attiva flusso di base**, se desiderato. Con il flusso di base attivo, puoi ignorare le selezioni di ruolo che hai effettuato per te e chiamare direttamente IdPs . [AssumeRoleWithWebIdentity](https://docs.aws.amazon.com/STS/latest/APIReference/API_AssumeRoleWithWebIdentity.html) Per ulteriori informazioni, consulta [Flusso di autenticazione dei pool di identità](authentication-flow.md).
1. In **Tag**, scegli **Aggiungi tag** se desideri applicare [tag](https://docs.aws.amazon.com/general/latest/gr/aws_tagging.html) al pool di identità.
1. In **Esamina e crea**, conferma le selezioni effettuate per il nuovo pool di identità. Seleziona **Modifica** per tornare alla procedura guidata e modificare le eventuali impostazioni. Al termine, seleziona **Crea un pool di identità**.
## Ruoli IAM dell'utente
Un ruolo IAM definisce le autorizzazioni per gli utenti di accedere a AWS risorse, come. [Amazon Cognito Sync](cognito-sync.md) Gli utenti della tua applicazione assumono i ruoli che crei. Puoi specificare diversi ruoli per utenti autenticati e non autenticati. Per ulteriori informazioni sui ruoli IAM, consulta [Ruoli IAM](iam-roles.md).
## Identità autenticate e non autenticate
I pool di identità di Amazon Cognito supportano sia le identità autenticate che le identità non autenticate. Le identità autenticate appartengono agli utenti autenticati da qualsiasi provider di identità supportato. Solitamente le identità non autenticate appartengono a utenti guest.
+ Per configurare le identità autenticate con un provider di accesso pubblico, consulta [Pool di identità, provider di identità di terze parti](external-identity-providers.md).
+ Per configurare il tuo processo di autenticazione back-end, consulta. [Developer-authenticated identità](developer-authenticated-identities.md)
## Attivazione o disattivazione dell'accesso guest
L'accesso degli ospiti ai pool di identità di Amazon Cognito (identità non autenticate) fornisce un identificatore e AWS credenziali univoci per gli utenti che non si autenticano con un provider di identità. Se la tua applicazione consente agli utenti che non effettuano l'accesso, puoi attivare l'accesso per le identità non autenticate. Per ulteriori informazioni, consulta [Guida introduttiva ai pool di identità di Amazon Cognito](getting-started-with-identity-pools.md).
**Per aggiornare l'accesso ospite in un pool di identità**
1. Scegli **Pool di identità** dalla [console di Amazon Cognito](https://console.aws.amazon.com/cognito/home). Seleziona un pool di identità.
1. Seleziona la scheda **Accesso utente**.
1. Individua **Accesso guest**. In un pool di identità che attualmente non supporta l'accesso guest, **Stato** è **Inattivo**.
1. Se **Accesso guest** è **Attivo** e desideri disattivarlo, seleziona **Disattiva**.
1. Se **Accesso guest** è **Inattivo** e desideri attivarlo, seleziona **Modifica**.
1. Scegli un ruolo IAM predefinito per gli utenti guest nel pool di identità.
1. Scegli **Crea un nuovo ruolo IAM** se desideri che Amazon Cognito crei automaticamente un nuovo ruolo con autorizzazioni di base e una relazione di affidabilità con il pool di identità. Inserisci un **Nome ruolo IAM** per identificare il nuovo ruolo, ad esempio `myidentitypool_authenticatedrole`. Seleziona **Visualizza documento di policy** per esaminare le autorizzazioni che Amazon Cognito assegna al tuo nuovo ruolo IAM.
1. Puoi scegliere di **utilizzare un ruolo IAM esistente** se hai già un ruolo Account AWS che desideri utilizzare. Devi configurare la policy di attendibilità del ruolo IAM per includere `cognito-identity.amazonaws.com`. Configura la policy di attendibilità del ruolo per consentire ad Amazon Cognito di assumere il ruolo solo quando rende evidente che la richiesta ha avuto origine da un utente autenticato nel pool di identità specifico. Per ulteriori informazioni, consulta [Attendibilità del ruolo e autorizzazioni](iam-roles.md#role-trust-and-permissions).
1. Seleziona **Salva modifiche**.
1. Per attivare l'accesso guest, seleziona **Attiva** nella scheda **Accesso utente**.
## Modifica del ruolo associato a un tipo di identità
Ogni identità nel pool di identità può essere autenticata o non autenticata. Le identità autenticate appartengono agli utenti autenticati da un provider di accesso pubblico (pool di utenti di Amazon Cognito, Login with Amazon, Accedi con Apple, Facebook, Google, SAML o qualsiasi provider OpenID Connect) o da un provider di sviluppatori (il tuo processo di autenticazione back-end). Solitamente le identità non autenticate appartengono a utenti guest.
Per ogni tipo di identità, esiste un ruolo assegnato. A questo ruolo è associata una politica che stabilisce a quale ruolo può accedere. Servizi AWS Quando Amazon Cognito riceve una richiesta, il servizio determina il tipo di identità e il ruolo assegnato a quel tipo di identità e utilizza la policy associata a tale ruolo per rispondere. Modificando una politica o assegnando un ruolo diverso a un tipo di identità, puoi controllare a quale tipo Servizi AWS di identità può accedere. Per visualizzare o modificare le policy associate ai ruoli nel pool di identità, vedi la [Console AWS IAM](https://console.aws.amazon.com/iam/home).
**Per modificare il ruolo predefinito autenticato o non autenticato del pool di identità**
1. Scegli **Pool di identità** dalla [console di Amazon Cognito](https://console.aws.amazon.com/cognito/home). Seleziona un pool di identità.
1. Seleziona la scheda **Accesso utente**.
1. Individua **Accesso guest** o **Accesso autenticato**. In un pool di identità che non è attualmente configurato per tale tipo di accesso, **Stato** è **Inattivo**. Seleziona **Edit (Modifica)**.
1. Scegli un ruolo IAM predefinito per gli utenti guest o autenticati nel pool di identità.
1. Scegli **Crea un nuovo ruolo IAM** se desideri che Amazon Cognito crei automaticamente un nuovo ruolo con autorizzazioni di base e una relazione di affidabilità con il pool di identità. Inserisci un **Nome ruolo IAM** per identificare il nuovo ruolo, ad esempio `myidentitypool_authenticatedrole`. Seleziona **Visualizza documento di policy** per esaminare le autorizzazioni che Amazon Cognito assegna al tuo nuovo ruolo IAM.
1. Puoi scegliere di **utilizzare un ruolo IAM esistente** se hai già un ruolo Account AWS che desideri utilizzare. Devi configurare la policy di attendibilità del ruolo IAM per includere `cognito-identity.amazonaws.com`. Configura la policy di attendibilità del ruolo per consentire ad Amazon Cognito di assumere il ruolo solo quando rende evidente che la richiesta ha avuto origine da un utente autenticato nel pool di identità specifico. Per ulteriori informazioni, consulta [Attendibilità del ruolo e autorizzazioni](iam-roles.md#role-trust-and-permissions).
1. Seleziona **Salva modifiche**.
## Modifica dei provider di identità
Se consenti agli utenti di effettuare l'autenticazione utilizzando i provider di identità utente (ad esempio pool di utenti Amazon Cognito, Login with Amazon, Accedi con Apple, Facebook o Google), puoi specificare gli identificatori dell'applicazione nella console dei pool di identità Amazon Cognito (identità federate). Questo associa l'ID dell'applicazione (fornito dal provider di accesso pubblico) al pool di identità.
Puoi anche configurare regole di autenticazione per ogni provider da questa pagina. Ogni provider consente fino a 25 regole. Le regole vengono applicate nell'ordine in cui le hai salvate per ogni provider. Per ulteriori informazioni, consulta [Utilizzo del controllo degli accessi basato su ruoli](role-based-access-control.md).
**avvertimento**
La modifica dell'ID dell'applicazione IdP collegato nel pool di identità impedisce agli utenti esistenti di effettuare l'autenticazione con il pool di identità. Per ulteriori informazioni, consulta [Pool di identità, provider di identità di terze parti](external-identity-providers.md).
**Per aggiornare un gestore dell'identità digitale del pool di identità**
1. Scegli **Pool di identità** dalla [console di Amazon Cognito](https://console.aws.amazon.com/cognito/home). Seleziona un pool di identità.
1. Seleziona la scheda **Accesso utente**.
1. Individua **Provider di identità**. Scegli il provider di identità da modificare. Se desideri aggiungere un nuovo IdP, seleziona **Aggiungi provider di identità**.
1. Se hai scelto **Aggiungi provider di identità**, scegli uno dei **Tipi di identità** che desideri aggiungere.
1. Per modificare l'ID dell'applicazione, scegli **Modifica** in **Informazioni sul provider di identità**.
1. Per modificare il ruolo richiesto da Amazon Cognito quando emette credenziali per gli utenti che hanno eseguito l'autenticazione con questo provider, scegli **Modifica**in **Impostazioni ruolo**.
1. Puoi assegnare agli utenti di tale IdP il **ruolo predefinito** impostato quando hai configurato il **ruolo autenticato** oppure puoi selezionare l'opzione **Scegli ruolo con regole**. Con un IdP del pool di utenti Amazon Cognito, puoi anche **scegliere un ruolo con preferred\_role nei token**. Per ulteriori informazioni sulla richiesta `cognito:preferred_role`, consultare [Assegnazione dei valori di priorità ai gruppi](cognito-user-pools-user-groups.md#assigning-precedence-values-to-groups).
1. Se hai scelto **Scegli ruolo con regole**, inserisci il **claim** di origine tratto dall'autenticazione dell'utente, l'**operatore** con cui vuoi confrontare il claim, il **valore** che determina una corrispondenza con questa scelta di ruolo e il **ruolo** che vuoi assegnare quando l'**assegnazione del ruolo** corrisponde. Seleziona **Aggiungi un altro** per creare una regola aggiuntiva basata su una condizione diversa.
1. Scegli una **Risoluzione del ruolo**. Quando le richieste dell'utente non corrispondono alle regole, puoi negare le credenziali o emettere credenziali per il **Ruolo autenticato**.
1. Per modificare i tag principali assegnati da Amazon Cognito quando emette credenziali per gli utenti che hanno eseguito l'autenticazione con questo provider, scegli **Modifica** in **Attributi per il controllo degli accessi**.
1. Per non applicare alcun tag principale, scegli **Inattivo**.
1. Per applicare i tag principali in base alle richieste `sub` e `aud`, scegli **Utilizza mappature predefinite**.
1. Per creare un tuo schema personalizzato di attributi dei tag principali, scegli **Utilizza mappature personalizzate**. Quindi, inserisci una **Chiave tag** che deve essere originata da ciascuna **Richiesta** che desideri rappresentare in un tag.
1. Seleziona **Salva modifiche**.
## Eliminazione di un pool di identità
L'eliminazione del pool di identità non può essere annullata. Dopo aver eliminato un pool di identità, tutte le app e gli utenti che dipendono da esso smettono di funzionare.
**Eliminazione di un pool di identità**
1. Scegli **Pool di identità** dalla [console di Amazon Cognito](https://console.aws.amazon.com/cognito/home). Seleziona il pulsante di opzione accanto al pool di identità che desideri eliminare.
1. Seleziona **Elimina**.
1. Inserisci o incolla il nome del pool di identità e seleziona **Elimina**.
**avvertimento**
Selezionando il pulsante di eliminazione, eliminerai il pool di identità e tutti i dati utente che contiene. L'eliminazione di un pool di identità causa l'interruzione del funzionamento delle applicazioni e degli altri servizi che utilizzano il pool di identità.
## Eliminazione di un'identità da un pool di identità
Quando si elimina un'identità da un pool di identità, vengono rimosse le informazioni di identificazione archiviate da Amazon Cognito per tale utente federato. Quando l'utente richiede nuovamente le credenziali, riceve un nuovo ID identità se il pool di identità considera ancora attendibile il provider di identità. Questa operazione non può essere annullata.
**Per eliminare un'identità**
1. Scegli **Pool di identità** dalla [console di Amazon Cognito](https://console.aws.amazon.com/cognito/home). Seleziona un pool di identità.
1. Scegli la scheda **Browser di identità**.
1. **Seleziona le caselle di controllo accanto alle identità che desideri eliminare e scegli Elimina.** Conferma che desideri eliminare le identità e scegli **Elimina**.